UniFi: Zone-Based Firewall konfigurieren
Auf einen Blick
| Gilt für | UniFi Cloud Gateways und UniFi-Gateways mit UniFi Network 9.0 oder neuer (Stand: 10.x), Gateway-Firmware 4.1 oder neuer |
|---|---|
| Bereich | IT-Security |
| Dauer | ca. 1 Stunde für ein Grundregelwerk |
| Rechte | Administrator in UniFi Network |
| Stand | Oktober 2026 |
Die Zone-Based Firewall in UniFi fasst Netze, WAN-Anschlüsse und VPNs zu Zonen zusammen und regelt den Verkehr zwischen diesen Zonen mit Richtlinien (Policies). Statt für jedes VLAN einzelne Regeln zu pflegen, legt man fest, was etwa die Zone IoT in der Zone Internal darf. Die Zonenmatrix zeigt auf einen Blick, welche Zonen sich erreichen. Dieser Artikel erklärt die eingebauten Zonen und Standardregeln, zeigt ein Regelwerk mit eigenen Zonen für Server und IoT und beschreibt die Migration alter Firewall-Regeln.
Voraussetzungen
- UniFi Cloud Gateway oder UniFi-Gateway mit UniFi Network 9.0 oder neuer und Gateway-Firmware 4.1 oder neuer.
- Die Netze (VLANs) sind angelegt, siehe UniFi: VLANs einrichten.
- Wer von einer älteren Version kommt, muss einmalig migrieren (siehe unten).
Die eingebauten Zonen
| Zone | Inhalt |
|---|---|
| Internal | vertrauenswürdige interne Netze – ab Werk alle neu angelegten Netze |
| External | Internet über die WAN-Anschlüsse, auch VPN-Verbindungen zu Anbietern |
| Gateway | das Gateway selbst: DHCP, DNS, Verwaltungsoberfläche, SSH |
| VPN | VPN-Benutzer (WireGuard, OpenVPN, L2TP, Identity One-Click VPN) und Standortvernetzungen (Site Magic, IPsec) |
| Hotspot | Gäste-Netze mit eingeschränktem Zugriff |
| DMZ | aus dem Internet erreichbare Server, z. B. Web- oder Mailserver |
Die eingebauten Zonen (Schloss-Symbol) lassen sich nicht löschen. Zusätzlich sind eigene Zonen möglich, insgesamt höchstens 30. Jedes Netz gehört zu genau einer Zone.
Die Zonenmatrix und die Standardregeln
Zeilen sind Quellzonen, Spalten Zielzonen. Ab Werk gilt:
| Von ↓ / nach → | Internal | External | Gateway | VPN | Hotspot | DMZ |
|---|---|---|---|---|---|---|
| Internal | Allow All | Policies | Allow All | Allow All | Allow All | Allow All |
| External | Policies | Policies | Policies | Policies | Policies | Policies |
| Gateway | Allow All | Allow All | – | Allow All | Allow All | Allow All |
| VPN | Allow All | Policies | Allow All | Allow All | Allow All | Allow All |
| Hotspot | nur Antworten | Policies | Policies | nur Antworten | Block All | Block All |
| DMZ | nur Antworten | Policies | Policies | nur Antworten | Block All | Block All |
- Policies bedeutet: eingebaute Einzelregeln. Von innen ins Internet ist alles erlaubt außer ungültigen Verbindungen; aus dem Internet nach innen nur Antworten auf bestehende Verbindungen (established/related), alles andere wird blockiert.
- Nur Antworten (Allow Return Traffic): Die Zielzone darf auf Verbindungen antworten, aber selbst keine aufbauen.
- Wichtig: Innerhalb der Zone Internal darf ab Werk jedes Netz jedes andere erreichen. Wer VLANs trennen will, braucht eigene Zonen oder Richtlinien.
- Portweiterleitungen, VPN-Server oder IPTV erzeugen automatisch weitere eingebaute Richtlinien.
Richtlinien anlegen
Pfad (UniFi Network 9.4 und neuer): Settings › Zones › Create Policy oder Settings › Policy Table › Create New Policy. In UniFi Network 11 sind die Einträge der früheren Policy Engine als normale Menüpunkte unter Settings einsortiert.
| Feld | Optionen |
|---|---|
| Source / Destination Zone | Quell- und Zielzone, verfeinert durch Any, Network, Device, IP oder MAC |
| Port | Any, einzelne Ports oder eine Port-Liste (Objekt) |
| Ziel als App, Domain oder Region | Anwendungen, Domänen (Web) oder Länder |
| Action | Allow, Block (verwerfen, ohne Antwort) oder Reject (ablehnen mit Rückmeldung) |
| Auto Allow Return Traffic | nur bei Allow: legt die Rückrichtung automatisch an |
| IP Version | IPv4, IPv6 oder beide |
| Protocol | alle, TCP, UDP, ICMP … |
| Connection State | All, New, Established, Related, Invalid – oder eine Auswahl |
| Syslog Logging | Treffer an einen Syslog-Server bzw. ein SIEM senden |
| Schedule | zeitgesteuert, z. B. nur zu Geschäftszeiten |
Reihenfolge: Eigene Richtlinien stehen vor den eingebauten und werden von oben nach unten ausgewertet; die erste passende entscheidet. Mit Reorder lässt sich die Reihenfolge ändern. Eingebaute Richtlinien sind nicht änderbar, können aber durch höher stehende eigene übersteuert werden.
Beispiel: Server- und IoT-Zone
Ziel: Arbeitsplätze erreichen Server nur auf bestimmten Ports, IoT-Geräte kommen nur ins Internet, Server dürfen nicht von sich aus zu den Clients.
Schritt 1: Eigene Zonen anlegen
- In der Firewall-Übersicht Create Zone: Name Server, Netz Server (VLAN 30) zuordnen.
- Ebenso Zone IoT mit Netz IoT (VLAN 40).
- Gäste-Netz der Zone Hotspot zuordnen, falls noch nicht geschehen.
Nach dem Anlegen in der Zonenmatrix prüfen, welche Standardwerte für die neuen Zonen gelten, und die folgenden Richtlinien ausdrücklich anlegen – so ist das Regelwerk unabhängig von Standardwerten dokumentiert.
Schritt 2: Richtlinien
| Nr. | Name | Quelle | Ziel | Ports/Protokoll | Aktion |
|---|---|---|---|---|---|
| 1 | Clients zu Servern | Internal, Netz Clients | Server | TCP 443, 445, 3389 (Port-Liste) | Allow + Auto Allow Return Traffic |
| 2 | Admins zu Servern | Internal, IP-Gruppe Admin-PCs | Server | Any | Allow + Auto Allow Return Traffic |
| 3 | Server zu Internal blocken | Server | Internal | Any, Connection State New | Block |
| 4 | IoT ins Internet | IoT | External | Any | Allow |
| 5 | IoT zu Internal blocken | IoT | Internal | Any, Connection State New und Invalid | Block |
| 6 | IoT zu Servern blocken | IoT | Server | Any | Block |
| 7 | Steuerung der IoT-Geräte | Internal, Netz Clients | IoT | Any | Allow + Auto Allow Return Traffic |
- Bei Block-Regeln innerhalb oder zwischen internen Zonen nur New (und Invalid) blockieren. Wer All wählt, blockiert auch die Antworten auf erlaubte Verbindungen der Gegenrichtung.
- Die Zone Gateway nur mit Bedacht einschränken: Ohne DHCP und DNS vom Gateway funktionieren die Netze nicht. Den Zugriff auf die Verwaltungsoberfläche schränkt man besser auf ein Admin-Netz ein, statt die Zone pauschal zu sperren.
- Für Drucker oder AirPlay über VLAN-Grenzen zusätzlich mDNS in den Netzeinstellungen aktivieren.
Schritt 3: Testen
- Vom Client: Server über die erlaubten Ports erreichbar, andere Ports nicht.
- Vom IoT-Gerät: Internet ja, Client-Netz und Server nein.
- Im Systemprotokoll unter den Firewall-Ereignissen prüfen, welche Richtlinie blockiert hat (Logging in der Richtlinie einschalten).
Einfache Alternative: Network Isolation
Für Gäste- oder einfache IoT-Netze genügt oft der Schalter Network Isolation in den Netzeinstellungen. Er erzeugt die nötigen Sperrregeln automatisch; das Netz erreicht dann nur noch das Internet.
Migration alter Firewall-Regeln
Netze, die vor UniFi Network 9.0 eingerichtet wurden, arbeiten noch mit Regelsätzen wie LAN_IN oder WAN_LOCAL. Die Umstellung startet unter Security › Traffic & Firewall Rules › Upgrade.
| Alter Regelsatz | Quelle | Ziel |
|---|---|---|
| LAN_IN | Internal | Internal, Hotspot, External, VPN |
| LAN_LOCAL | Internal, VPN | Gateway |
| GUEST_IN | Hotspot | Internal, Hotspot, External, VPN |
| GUEST_LOCAL | Hotspot | Gateway |
| WAN_IN | External | Internal, Hotspot, External, VPN |
| WAN_LOCAL | External | Gateway |
- Die Migration dauert Sekunden und unterbricht den Verkehr nicht.
- Sie ist vorsichtig angelegt und erzeugt viele, teils doppelte Richtlinien mit identischer Wirkung. Nach dem Testen überflüssige Richtlinien entfernen; manuelle Rückregeln lassen sich durch Auto Allow Return Traffic ersetzen.
- Ein Zurück zum alten Regelwerk ist nicht vorgesehen – vorher ein Backup erstellen.
Hinweise
- Netzwerklisten: Mit UniFi Network 11 können Adresslisten dynamisch aus einer externen URL geladen und in Richtlinien verwendet werden, z. B. für Sperrlisten.
- Eigene Zone löschen löscht auch alle zugehörigen Richtlinien.
- Dokumentation: Richtlinien sprechend benennen und das Regelwerk als Tabelle dokumentieren; das erleichtert Audits nach ISO 27001 oder NIS2.
- IDS/IPS und Anwendungsfilter ergänzen die Firewall um die Prüfung von Inhalten, siehe UniFi: IDS/IPS und CyberSecure einrichten.
- Bei Entwurf, Prüfung und Betrieb Ihres Firewall-Regelwerks unterstützt Sie die Managed Firewall von m.a.x. it.
Siehe auch
- Ubiquiti UniFi – Überblick und alle Artikel der Reihe
- UniFi: VLANs einrichten
- UniFi: Gäste-WLAN und Hotspot-Portal
- Firewall
- UniFi: Switch-ACLs einrichten
- Netzwerksegmentierung
- Zero Trust
Links und Quellen
Über m.a.x. it Die m.a.x. Informationstechnologie AG ist seit über 30 Jahren IT-Partner mittelständischer und großer Unternehmen in München und bietet maßgeschneiderte Lösungen und Services in den Bereichen Cloud, Cybersecurity, Netzwerk, Windows, Linux und Softwareentwicklung. Sie haben eine Frage zu diesem Artikel oder brauchen Unterstützung?
